Mit Hackern auf Augenhöhe Verhaltensbasierte bio­metrische Authentifizierung

Anbieter zum Thema

Arvato Systems

Cohesity GmbH

Keeper Security EMEA Ltd.

Eskenzi PR Limited

One Identity GmbH

Cybersicherheitsverletzungen werden immer schwerwiegender, Angriffe raffinierter und die Menge der kompromittierten Daten hat astronomische Höhen erreicht. Branchen­experten sehen einen Auswei in der Nutzung verhaltensbiometrischer Merkmale. Mithilfe von maschinellem Lernen lassen sich die Analyse von Mausbewegungen und Tastaturanschlägen für bessere Sicherheits­vorkehrungen nutzen.

61 Prozent aller Unternehmen haben im letzten Jahr einen oder sogar mehrere Cyberangriffe gemeldet. Das veröffentlichte der Spezialversicherer Hiscox im April 2019. Im Rahmen des Hiscox Cyber Readiness Report 2019 befragte Hiscox 5.400 Unternehmen aus sieben Ländern. Die Befragten legten offen, dass die Gesamtausgaben für Cybersicherheit im Jahr 2018 7,8 Milliarden US-Dollar und umgerechnet 1,45 Millionen US-Dollar pro Unternehmen betrugen. Das entspricht einem Investitionsplus von 24 Prozent gegenüber dem Vorjahr.

Alarmierend ist allerdings die Tatsache, dass einer von drei Cybersicherheitsvorfällen durch eine bis dato unbekannte Bedrohung verursacht wird. Das belegt eine von One Identity auf der Infosecurity Europe durchgeführte Untersuchung. Es stellt sich nicht zum ersten Mal die Frage wie Unternehmen sich auf etwas vorbereiten sollen, von dem sie noch nicht wissen, was es ist, und dessen Modus Operandi sie genauso wenig kennen. Keine geringe Herausforderung. Dank der Fortschritte im Bereich des maschinellen Lernens aber, fungiert die verhaltensbasierte Biometrie inzwischen als zusätzlicher Layer bei der Abwehr von Sicherheitsbedrohungen. Man erhofft sich davon nicht zuletzt, die Waage zwischen Cyberkriminellen und Unternehmen wieder etwas mehr ins Gleichgewicht zu bringen.

Biometrie als zusätzliche Sicherheitsebene

Biometrie umfasst die automatische Identifizierung von Personen aufgrund ihrer biologischen Charakteristika oder aufgrund von Verhaltensmerkmalen. Die meisten Menschen sind eher mit physiologischer Biometrie vertraut. Wir benutzen Smartphones mit Gesichtserkennung oder Laptops, die mit dem Fingerabdruck des Benutzers entsperrt werden. Die physiologische Biometrie wurde zunächst fast euphorisch aufgenommen. Es dauerte allerdings nicht lange, bis Hacker und Sicherheitsforscher raffinierte Methoden entwickelten, um Fingerabdrücke und Gesichtserkennung zu replizieren und zu missbrauchen. Eines der bekanntesten Beispiele: ein Foto von einem Glas aufzunehmen, das eine bestimmte Person angefasst hat, und davon mit einem 3D-Drucker einen Fingerabdruck zu erstellen. Aufwendig, aber möglich.

Die Entwicklung der Verhaltensbiometrie ist der neuerliche Versuch, bessere Abwehrmechanismen zu entwickeln und sie zusätzlich zu anderen Authentifizierungsmethoden einzusetzen. Unsere physischen Eigenschaften sind nämlich bei weitem nicht die einzigen Bereiche, in denen wir unverwechselbar sind. Tatsächlich erledigen wir Routineaufgaben, wie zum Beispiel die Art und Weise wie wir sprechen, schreiben oder auf einer Tastatur tippen so charakteristisch, dass sich dieses Verhalten bei jedem Menschen unterscheidet. Das betrifft etwa die Analyse der Mausbewegungen oder der Tippdynamik, bis hin zur Aufzeichnung der häufigsten Rechtschreibfehler eines Benutzers. Werden diese Wörter dann in der Zukunft richtig geschrieben, setzt die Software einen Marker.

Verhaltensbiometrie - der nächste Schritt

Es spricht einiges dafür, verhaltensbasierte Biometrie zu nutzen. Erstens ist die Technologie aufgrund ihrer Genauigkeit um Größenordnungen sicherer als physische Biometrie. Es ist praktisch unmöglich, dass sie von einer anderen Person oder Maschine gestohlen oder kopiert wird. Das Online-Verhalten einer Person wird kontinuierlich analysiert, Veränderungen werden erfasst. Die zugrunde liegenden Algorithmen nutzen maschinelles Lernen, um sich ständig zu verbessern. Verhaltensbiometrische Merkmale zu nutzen, ist auch auf betrieblicher Ebene effizient. Man braucht keine aufwendige und potenziell kostspielige Hardware, denn die Technologie kann auf einem Remote-Cloud-Server laufen und lässt sich so einfacher und schneller bereitstellen. Sie wird praktisch auf Knopfdruck aktiviert, und man kann den Benutzern aufdringliche, umfangreiche Kontrollen ersparen.

Fortgeschrittene Lösungen, die auf Verhaltensbiometrie basieren, überwachen Muster. Anhand dieser Muster beginnen die Maschinenalgorithmen sofort damit, das Verhalten eines Benutzers auf einem bestimmten System zu erlernen. Solche Systeme funktionieren meist schon nach etwa einer Woche einwandfrei, und mehr als ein Dutzend Faktoren werden ständig überprüft. Die Ergebnisse sind präzise, personenbezogen und werden in Echtzeit bereitgestellt. IT- Betriebs- und Sicherheitsteams haben so die Möglichkeit Benutzeraktivitäten kontinuierlich exakt zu überwachen.

Zu den bewerteten Merkmalen gehören die Mausbewegungen, Tastenanschläge, IP-Adressen, die Verbindungsdauer, der verwendete Computer oder die verwendeten Anwendungen und so weiter.

Die Software, die auf einem zentralen System in der Cloud ausgeführt wird, zeichnet die Muster auf und überprüft sie. Gleichzeitig kann sie das Verhalten von Gruppen überwachen. Mit einem von 0 bis 100 reichenden verhaltensbiometrischen Bewertungssystem für jede Sitzung, lässt sich das mit einem Benutzer verbundene Risiko einschätzen und kategorisieren.

Verhaltensbiometrie im Einsatz

Wenn ein Arbeitnehmer seine täglichen Aufgaben verrichtet, liegt der Risiko-Score zwischen 0 und 20. Wenn sich der betreffende Mitarbeiter aber beispielsweise um 2 Uhr morgens am System anmeldet (was gemäß der Baseline ein anormales Verhalten wäre) wird ein Marker gesetzt. Der Score springt auf einen Wert von zirka 40. Wenn jemand an seinem Computer angemeldet ist, dann aber nach dem gewohnten Muster tippt und das übliche Portal benutzt, wird das System nicht heruntergefahren.

Wenn der Score beispielsweise über 50 liegt, könnte über die SIEM-Software (Security Information and Event Management) eine Benachrichtigung an die betreffende Abteilung und die potentiell betroffenen Geräte versendet werden. Auf dieser Basis kann man weitere Analysen anstoßen, denn der Score errechnet sich auf Basis unterschiedlicher Algorithmen und jeder Faktor wird verschieden gewichtet. Diese Faktoren sind von Kunde zu Kunde verschieden und lassen sich entsprechend individualisieren. Es kann sein, dass eine frühmorgendliche Anmeldung zu einem hohen Score führt, aber die verhaltensbiometrischen Merkmale dennoch passen. Das Sicherheitsteam wird wahrscheinlich zum Schluss kommen, dass kein böswilliges Verhalten vorliegt. Dieses Zusammenspiel sorgt letzten Endes für den reibungslosen Ablauf der Prozesse.

Was aber, wenn jemand seinen betriebsbereiten Laptop verlässt, offen für Manipulationen? Eine Verhaltensbiometrie-Software läuft ununterbrochen, somit können Sicherheitsvorfälle gestoppt werden, bevor Schaden entsteht. Sie löst sofort einen Alarm aus und schließt das System, wenn sich der Stil beim Tippen oder die Mausbewegungen ändern - wird beispielsweise die Bewegung schneller als normal ausgeführt oder gibt es eine größere Lücke zwischen Klicks und Doppelklicks als sonst?

In der Cybersicherheit gibt es wenig überraschend nicht die eine Wunderwaffe, und keine noch so ambitionierte Lösung ist hundertprozentig sicher. Biometrie bietet im Allgemeinen eine wichtige zusätzliche Sicherheitsebene. Verhaltensbiometrische Identifizierung ermöglicht die sichere kontinuierliche Authentifizierung privilegierter Benutzer. Und leistet damit einen wichtigen Beitrag zum Schutz der Systeme.

Ein abschließender Blick auf den Datenschutz

In Deutschland und anderen europäischen Ländern haben Datenschutz, Privatsphäre und der Schutz von Angestellten eine hohe Priorität. Diese Tatsache wirkt sich auch auf privilegierte Benutzer aus. Ihnen steht derselbe Schutz zu wie allen anderen Mitarbeitern in einem Unternehmen auch. Sind die Zugriffsberechtigungen auf allen Ebenen korrekt vergeben, ist diese Voraussetzung bereits erfüllt, bevor man mit der Analyse der verhaltensbiometrischen Daten eines Nutzers überhaupt beginnt.

Zuallererst sollte man aber jeden, der auf unternehmens- und geschäftskritische Systeme zugreifen darf, in Kenntnis setzen, dass es solche Aufzeichnungen und Analysen gibt und in welchem Ausmaß dabei persönliche Daten eines Benutzers betroffen sein können (üblicherweise ist das im Kontext privilegierter Nutzer nur in geringem Umfang der Fall). Zweitens ist starke Verschlüsselung gemäß den Anforderungen des Betriebsrats unumgänglich. Das schließt separate zertifikatsbasierte Verschlüsselung für die Benutzerinhalte ebenso ein wie für die restlichen erhobenen Daten. Einer der privaten Schlüssel zum Entschlüsseln der Informationen sollte anschließend einem Mitglied des Betriebsrates zur Verfügung gestellt werden um die Transparenz der betreffenden Daten zu gewährleisten und zu überprüfen. Zu guter Letzt sollte man bei einer rollenbasierten Zugriffskontrolle (RBAC= Role Based Access Control) nach dem „need-to-know“-Prinzip verfahren. Hierin wird festgelegt, wer auf die Ergebnisse der verhaltensbiometrischen Analyse zugreifen kann. Ein Schritt, der mindestens ebenso wichtig ist der vorhergehende.

Kombiniert man diese Maßnahmen und stellt gleichzeitig sicher, dass der Betriebsrat so früh wie möglich in die Planungen einbezogen wird, erreicht man zweierlei: Mit der verhaltensbiometrischen Analyse ist man Angreifern einen Schritt voraus und schützt gleichzeitig die Mitarbeiter.

Über den Autor: Zoltan Bakos ist Senior Privileged Solutions Architect bei One Identity.

(ID:46528556)